Перейти к содержимому

Настройка Policy-Based IPSec VPN

Policy-Based IPSec VPN — это тип VPN-соединения, при котором туннель создается на основе политик. Политики указывают, какой трафик и как должен быть защищен на основе IP-адресов, протоколов и портов.

В зависимости от требований к сети, уровню детализации управления трафиком и сложности конфигурации вы также можете использовать другие способы организации безопасных туннелей для соединения сетей: Site-To-Site IPSec VPN и Route-Based IPSec VPN.

В данной статье описана настройка Policy-Based IPSec VPN между оборудованием Cisco CSR1000v и виртуальным шлюзом Edge Gateway.

Общая схема взаимодействия:

Примечание

Описанные настройки доступны, если вы используете версию 10.4 или 10.5.

Примечание

Далее в статье все значения, IP-адреса, порты и протоколы используются в качестве примера.

Edge Gateway

Заголовок раздела «Edge Gateway»

В данном разделе приведены параметры настройки Policy-Based IPSec на Edge Gateway в рамках IKEv1 и IKEv2.

  • Пример конфигурации в рамках IKEv1
  • Пример конфигурации в рамках IKEv2
ПараметрКомментарийЗначение
Enable perfect forward secrecyДополнительная безопасность с использованием уникального ключаOn
Local Id и Local EndpointИдентификатор локального узла и точка входа для VPN на вашей стороне213.108.129.202
Local SubnetsЛокальные сети, которые будут доступны через VPN-туннель192.168.101.0/24
Peer Id и Peer EndpointИдентификатор удаленного узла и точка входа для VPN-туннеля на стороне удаленного узла176.118.31.163
Peer SubnetsСети на удаленной стороне, которые будут доступны через VPN-туннель192.168.200.0/24
Encryption AlgorithmАлгоритм шифрования, используемый для защиты данных в VPN-туннелеAES
AuthenticationМетод аутентификации, используемый для проверки подлинности сторонPSK
Pre-Shared KeyСекретный ключ, используемый для аутентификации сторон.
Обе стороны должны использовать один и тот же ключ для установки соединения		Changeme123
Diffie-Hellman GroupТип алгоритма шифрования, используемый для обмена ключами по протоколу Диффи-ХеллманаDH5
Digest AlgorithmАлгоритм хеширования, используемый для проверки целостности данныхSHA1
IKE OptionНастройки для фазы 1 (IKEv1 или IKEv2) установления VPN-соединенияIKEv1
IKE Responder OnlyИнициатором соединения всегда является удаленная сторонаOff
Session TypeТип сессии VPNPolicy Based Session

Cisco CSR1000v

Заголовок раздела «Cisco CSR1000v»

В данном разделе приведено описание настройки Policy-Based IPSec на Cisco CSR1000v в рамках IKEv1 и IKEv2.

  • Конфигурация в рамках IKEv1
  • Конфигурация в рамках IKEv2

  1. Настройте IKE политику:

    crypto isakmp policy 10
      encryption aes
      group 5
      hash sha
      lifetime 28800
      authentication pre-share

  2. Настройте связку PSK ключа с Peer адресом:

    crypto isakmp key Changeme123 address 213.108.129.202

  3. Настройте IPSec transform-set:

    crypto ipsec transform-set TS-EDGE-ESP-AES-SHA esp-aes esp-sha-hmac

  4. Создайте IPSec access list:

    access-list 101 permit ip 192.168.200.0 0.0.0.255 192.168.101.0 0.0.0.255

  5. Создайте Crypto Map и свяжите ее с политикой:

    crypto map VTI-EDGE-CMAP 1 ipsec-isakmp
      set transform-set TS-EDGE-ESP-AES-SHA
      set pfs group5
      set peer 213.108.129.202
      match address 101

  6. Настройте внешний интерфейс на работу с созданной Crypto Map:

    interface GigabitEthernet1
      crypto map VTI-EDGE-CMAP

  7. Запустите ping до удаленной сети с использованием локальных сетей, объявленных в настройках туннеля:

    Router# ping 192.168.101.1 source gigabitEthernet 2
    Type escape sequence to abort.
    Sending 5, 100-byte ICMP Echos to 192.168.101.1, timeout is 2 seconds:
    Packet sent with a source address of 192.168.200.1
    .!!!!
    Success rate is 80 percent (4/5), round-trip min/avg/max = 12/12/13 ms

Вся конфигурация, относящаяся к настройке Policy-Based IPSec на Cisco CSR1000v с использованием IKEv1, выглядит следующим образом:

shell
crypto isakmp policy 10
 encr aes
 authentication pre-share
 group 5
 lifetime 28800
crypto isakmp key Changeme123 address 213.108.129.202


crypto ipsec transform-set TS-EDGE-ESP-AES-SHA esp-aes esp-sha-hmac
 mode tunnel


crypto map VTI-EDGE-CMAP 1 ipsec-isakmp
 set peer 213.108.129.202
 set transform-set TS-EDGE-ESP-AES-SHA
 set pfs group5
 match address 101


interface GigabitEthernet1
 crypto map VTI-EDGE-CMAP


access-list 101 permit ip 192.168.200.0 0.0.0.255 192.168.101.0 0.0.0.255